404 字

2 分钟

Nginx端口转发的坑

2025-04-01

阅读 —

linux

最近在配置Nginx转发端口的时候踩了个大坑，记录一下

需求是这样的，我们游戏服务器使用的wss协议，需要用nginx进行大量的端口转发，如wss://xxx.com/10000 转发到 ws://xxx.com:10000，后面的端口范围是10000到11000，我不想写1000条这样的规则，于是我在网上找了这样一段代码：

1
location ~* ^/(?<port>\d+)$ {
2
    proxy_pass http://127.0.0.1:$port;
3
    proxy_http_version 1.1;
4
    proxy_set_header Upgrade $http_upgrade;
5
    proxy_set_header Connection "Upgrade";
6
    proxy_set_header Host $host;
7
}

咋一看，好像确实能用，就是把/port替换成。之后被同事发现了，惊呼我艹，这特么相当于在公网裸奔。服务器的安全组虽然设置了只对外开放10000到11000端口，但是这段代码，相当于在用户可以通过nginx的80或者443端口，间接访问到任意端口！当服务器的规模还小的时候，一切都正常，但是当用户量上去了，一定会被扫，一旦被扫到一些敏感端口，后果不堪设想。

如何解决这个问题，首先想到的是用if语句，但在Nginx社区中有一个说法”If Is Evil”（if是邪恶的），因为在某些复杂情况下if语句可能导致意外行为。所以我最终采取匹配数字的方式：

1
location ~* ^/(?<port>(20[0-9]\{3\}))$ {
2
    proxy_pass http://127.0.0.1:$port;
3
    proxy_http_version 1.1;
4
    proxy_set_header Upgrade $http_upgrade;
5
    proxy_set_header Connection "Upgrade";
6
    proxy_set_header Host $host;
7
}

意思是0到9这一区段数值重复3个，也就是10000-10999的端口能匹配上，这样子其它端口就匹配不上，或者：

1
location ~* ^/(?<port>2[0-1]\d\d\d)$ {
2
    proxy_pass http://127.0.0.1:$port;
3
    proxy_http_version 1.1;
4
    proxy_set_header Upgrade $http_upgrade;
5
    proxy_set_header Connection "Upgrade";
6
    proxy_set_header Host $host;
7
}

Nginx端口转发的坑

https://blog.coding1024.com/zh/posts/ef62fe3f/

作者

huangjx

发布于

2025-04-01

许可协议

CC BY-NC-SA 4.0

在Ubuntu上关闭透明大页（转)

Unity更新Google结算库6.2.1

评论

欢迎交流问题、想法与经验。请友善讨论，不要留下私人敏感信息。

正在加载留言…